Donner une adresse électronique pour recevoir une facture ou utiliser une application de transport sont des actes du quotidien. Dans chaque cas, quelqu’un collecte des informations associées à une personne. La législation sur la protection des données établit dans quels cas elles peuvent être traitées, dans quel but et sous quels contrôles.
Il n’existe pas pour autant de loi mondiale unique. Il existe des normes nationales et régionales, ainsi que des instruments internationaux ayant une portée juridique variable. C’est pourquoi une explication générale permet de reconnaître l’architecture habituelle de ces régimes, sans pour autant remplacer la consultation de la loi et de l’autorité compétentes pour un cas particulier.
Ce que sont les données personnelles et ce que signifie leur traitement
Une donnée personnelle est une information relative à une personne physique identifiée ou identifiable. Un nom peut l’identifier directement ; une plaque d’immatriculation, une adresse IP ou une combinaison d’éléments peut éventuellement permettre de le faire indirectement. Le contexte importe : plusieurs données regroupées peuvent identifier une personne alors qu’aucune ne le permettrait isolément.
Le traitement englobe bien plus que la vente de données ou leur analyse algorithmique. Les collecter, les classer, les consulter, les communiquer, les conserver et les supprimer constituent également des opérations de traitement. Ces définitions figurent, avec des formulations qui leur sont propres, dans des textes tels que le Règlement général sur la protection des données de l’Union européenne (RGPD) et dans diverses législations nationales.
La personne à laquelle se rapporte l’information est couramment appelée personne concernée (ou titulaire). L’entité qui détermine dans quel but les données seront utilisées et comment le traitement s’effectuera dans ses aspects essentiels est le responsable du traitement. Celle qui traite les données pour le compte et selon les instructions du responsable est le sous-traitant.
Prenons l’exemple d’un commerce qui rassemble les adresses de ses clients et souscrit un service d’hébergement dans le cloud. Le commerce ne cesse pas d’être responsable du fait d’externaliser son infrastructure ; le prestataire peut agir en tant que sous-traitant. La fonction effective de chaque partie, et non la simple désignation figurant au contrat, détermine son rôle.
Idée clé : La législation ne s’occupe pas uniquement des fuites de données. Elle encadre l’ensemble du cycle des données, de leur collecte jusqu’à leur suppression.
Vie privée, protection des données et sécurité ne sont pas identiques
Ces trois concepts sont liés, mais remplissent des fonctions distinctes.
La vie privée constitue un champ plus vaste d’autonomie et d’existence personnelle. La protection des données la traduit en règles relatives aux informations associées à des personnes : principes, bases juridiques, droits et responsabilités. La sécurité de l’information rassemble des mesures visant à prévenir les accès illégitimes, les pertes ou les altérations.
Une base de données peut être chiffrée et très bien protégée contre les intrus, tout en ayant été créée pour une finalité illégitime ou avec des données excessives. Il est également possible qu’une finalité autorisée coexiste avec une sécurité déficiente. Dans le premier cas, la licéité ou la proportionnalité fait défaut ; dans le second, ce sont les garanties. La sécurité est indispensable, mais elle ne suffit pas à respecter l’ensemble de la législation.
Il en va de même pour la pseudonymisation. Remplacer des noms par des codes réduit les risques, mais ne rend pas nécessairement les enregistrements anonymes. S’il est raisonnablement possible de les rattacher à nouveau à une personne, il s’agit toujours de données personnelles.
Les principes qui structurent le traitement
Bien que les formulations juridiques varient, de nombreux systèmes partagent un ensemble reconnaissable de principes. Les Lignes directrices de l’OCDE sur la protection de la vie privée offrent un cadre comparatif ; le RGPD et diverses lois nationales transforment plusieurs de ces principes en obligations exécutoires dans leurs champs respectifs.
En termes généraux, le traitement devrait :
- reposer sur une base juridique reconnue et être effectué de manière loyale et transparente ;
- répondre à des finalités déterminées, sans réutilisations incompatibles ;
- collecter des données adéquates et non excessives au regard de ces finalités ;
- veiller à ce que les informations soient exactes et tenues à jour le cas échéant ;
- ne les conserver que pendant la durée justifiée ;
- appliquer des mesures de sécurité appropriées au risque ;
- permettre au responsable de démontrer la manière dont il s’acquitte de ses obligations.
Ces principes aident à évaluer des décisions concrètes. Si un organisme public recueille des données pour gérer un registre administratif et souhaite ensuite les réutiliser à une autre fin, il ne suffit pas qu’il les détienne déjà. Il doit se demander si la nouvelle finalité est légalement autorisée, si elle est compatible avec la finalité initiale et quelles garanties elle exige.
Le consentement est une base, non la seule
Une erreur courante consiste à réduire la protection des données au fait de cocher ou décocher une case. Le consentement peut constituer une base juridique, mais de nombreuses lois en reconnaissent d’autres : l’exécution d’un contrat, le respect d’une obligation légale, la sauvegarde d’intérêts vitaux ou l’exercice de missions d’intérêt public, entre autres possibilités.
De même, toute acceptation ne constitue pas un consentement valide. La liberté de décision, l’information reçue et la possibilité réelle de refuser peuvent être pertinentes selon le régime. La lassitude face à des bandeaux interminables montre pourquoi multiplier les clics n’équivaut pas nécessairement à accroître l’autonomie. La minimisation des données, une transparence accessible, la responsabilité de celui qui décide et des voies de recours effectives importent tout autant.
Idée clé : Se demander « y a-t-il eu consentement ? » ne suffit pas à établir la licéité. Il faut d’abord identifier les bases admises par la norme applicable et les conditions qu’elle impose.
Quels droits la personne peut-elle avoir
Les lois prévoient généralement des mécanismes permettant à la personne de savoir et d’interroger ce qu’il advient de ses informations. Le contenu exact, les exceptions et les délais varient selon les juridictions, mais les droits peuvent comprendre :
- recevoir des informations sur le traitement ;
- accéder aux données et en obtenir une copie ;
- rectifier des informations inexactes ;
- demander leur effacement ou suppression dans certaines situations ;
- s’opposer à certains usages ou demander la limitation du traitement ;
- recevoir des données dans un format portable sous des conditions spécifiques ;
- contester ou solliciter le réexamen de certaines décisions automatisées.
Ces droits n’existent pas de manière identique dans tous les pays et ne sont pas absolus. Une demande d’effacement, par exemple, peut rencontrer des limites si une loi impose la conservation de certains registres. L’analyse consacrée à la titularité et au contrôle des données personnelles approfondit la distinction entre contrôle et propriété.
Ce que doivent faire responsables et sous-traitants
La législation fait généralement peser sur le responsable du traitement le devoir de justifier le traitement et d’en organiser la conformité. Cela peut exiger une information claire, la documentation des décisions, le traitement des demandes, la surveillance des prestataires, des mesures de sécurité et une capacité de réaction face aux incidents. L’intensité de chaque obligation dépend du risque, de l’échelle, du type de données et de la loi applicable.
Le sous-traitant n’est pas pour autant exempt de responsabilités. Il doit agir dans le cadre des instructions licites reçues et respecter les devoirs que le régime lui attribue. De son côté, le responsable ne peut pas transférer l’intégralité de sa responsabilité par simple contrat. Bien structurer cette relation permet de faire coïncider les responsabilités avec les décisions effectives.
Le secteur d’activité peut également modifier le cadre applicable. Le Mexique dispose par exemple d’une loi fédérale pour les particuliers et d’une loi générale pour les entités assujetties. Cette séparation illustre une problématique plus large : avant de présumer des obligations ou des voies de recours existantes, il convient d’établir si les données sont détenues par une entreprise, une organisation de la société civile ou une entité publique.
Autorités, réclamations et limites légitimes
Selon le pays, des autorités spécialisées, des tribunaux ou d’autres organes administratifs peuvent intervenir. Leurs compétences et leur degré d’indépendance doivent être vérifiés dans la législation en vigueur et les sources officielles.
La protection des données n’opère pas non plus en vase clos. Elle peut entrer en tension avec la liberté d’expression, l’accès à l’information publique, la recherche, la sécurité, l’innovation ou l’exécution de contrats. Résoudre ces tensions exige des règles claires, des exceptions circonscrites ainsi que des décisions proportionnées et révisables, plutôt que l’affirmation automatique qu’un intérêt doit systématiquement prévaloir sur les autres.
Dans une perspective libérale, l’objectif de ce domaine, qui mérite d’être poursuivi, est de limiter les usages arbitraires de l’information tant par les entreprises que par la puissance publique, sans entraver pour autant les usages légitimes. Pour y parvenir, les obligations devraient être prévisibles et proportionnées au risque. Un régime opaque ou excessivement rigide peut élever les barrières à l’entrée et avantager les acteurs capables d’absorber des coûts de mise en conformité élevés. À l’inverse, un régime faible laisse les personnes exposées face à des organisations disposant de bien plus d’informations et d’un pouvoir de décision accru.
Idée clé : Protéger l’autonomie exige de poser des limites au pouvoir informationnel, mais implique également des règles générales et révisables afin de ne pas transformer tout usage de données en interdiction.
Comment identifier la législation applicable
Le pays d’implantation du serveur suffit rarement à trancher la question. À titre de repère initial — et non d’avis juridique —, il convient de se poser cinq questions :
- Qui traite les données ? Identifiez l’organisation qui en détermine la finalité, ses prestataires, et si elle relève du secteur public ou privé.
- Où opère-t-elle ? Vérifiez le lieu d’établissement et les activités pertinentes, et non pas seulement l’emplacement technique de l’infrastructure.
- Qui cela concerne-t-il ? La résidence ou la localisation des personnes peut déclencher l’application de certaines normes ; la citoyenneté, à elle seule, n’est pas toujours le critère retenu.
- Quelle est la nature de l’activité ? Le secteur, le type de données, la finalité et certaines pratiques telles que l’offre de biens ou la surveillance de comportements peuvent modifier l’analyse.
- Quelle est la date pertinente ? Vérifiez la version en vigueur de la loi ainsi que ses dispositions transitoires.
La date mérite une attention particulière. Au Chili, par exemple, la loi 19.628 demeure applicable au 22 octobre 2026, tandis que la réforme d’ensemble portée par la loi 21.719 voit son entrée en vigueur différée au 1ᵉʳ décembre 2026. Se référer à un texte futur sans vérifier sa date d’entrée en vigueur peut conduire à présenter comme actuels des droits, des obligations ou des institutions qui ne le sont pas encore.
L’étape finale consiste à consulter le texte consolidé de la loi, l’autorité officielle compétente et, si la situation peut avoir des conséquences importantes, à solliciter un conseil juridique dans la juridiction concernée. L’architecture commune permet de poser de meilleures questions ; la réponse applicable dépend toujours de la norme en vigueur et des faits d’espèce.
Partager